ConnectWise wyłącza usługi po naruszeniu bezpieczeństwa

Firma ConnectWise poinformowała w sobotę, że wyłączyła siedem tożsamości aplikacji w ramach prowadzonego śledztwa w sprawie incydentu, w którym nieznani sprawcy uzyskali nieautoryzowany dostęp do tych tożsamości i naruszyli dzierżawy Microsoft 365. Działanie to podjęto 17 października 2026 roku o godzinie 07:00 czasu UTC. W związku z tym firma zawiesiła również usługę kopii zapasowej w chmurze, cofając certyfikaty używane do połączeń aplikacji dla wszystkich użytkowników. Wyłączenie dotkniętych połączeń zapobiega nowym uwierzytelnieniom przez te kanały, ale nie odwraca zmian wcześniej dokonanych wewnątrz dzierżawy. Współdzielone dane uwierzytelniające usługi kopii zapasowej w chmurze nie są już ważne, choć wcześniej wydane tokeny dostępu mogą pozostać użyteczne do momentu wygaśnięcia lub unieważnienia. Dostęp do archiwów kopii zapasowych i możliwości przywracania pozostaje niedostępny, a zaplanowane kopie zapasowe nie są wykonywane. Istniejące archiwa pozostają jednak zaszyfrowane, izolowane i zachowane, a nie ma dowodów na to, że zostały naruszone lub uzyskane przez sprawców. Firma tymczasowo wyłączyła usługi bezpieczeństwa SaaS i zarządzania chmurą w celu zakończenia przeglądu incydentu. Problem został zidentyfikowany 14 października 2026 roku dzięki zaawansowanemu monitorowaniu cyberbezpieczeństwa, co skutkowało aktywacją działań wewnętrznych i zewnętrznych.

Od wdrożenia środków łagodzących nie zaobserwowano udanej aktywności zagrożeń w monitorowanych środowiskach, co jednak nie określa statusu środowisk klientów końcowych, których firma nie może bezpośrednio obserwować. Na tym etapie nie jest jasne, czy luka w produkcie przyczyniła się do naruszenia. Mechanizm ujawnienia danych uwierzytelniających jest przedmiotem trwającej analizy. Atak pozwala na wykorzystanie kradzionych danych do uzyskiwania tokenów dostępu z Microsoft Entra ID na podstawie istniejących uprawnień aplikacji. W zależności od przydzielonych uprawnień, sprawca może uzyskać dostęp do skrzynek pocztowych, dokumentów SharePoint, wiadomości Teams oraz informacji katalogowych. Kradzież danych uwierzytelniających pozwala na dodanie aplikacji do roli Global Administrator, dodanie sekretów klientów do innych zaufanych aplikacji oraz tworzenie nowych aplikacji z uprawnieniami, co zapewnia utrwalenie dostępu. Firma Huntress zaobserwowała ostatnie złośliwe logowania z oryginalnego adresu 15 października o 08:45 UTC, z ręczną aktywnością trwającą do około 14:20 UTC tego dnia. Nie zidentyfikowano nowej złośliwej aktywności od 15 października, ale nie ma dowodów, że zaprzestanie było wynikiem publicznego ujawnienia. Istnieje wysokie prawdopodobieństwo, że sprawca zaatakował również aplikacje ConnectWise Cloud Management dla Exchange Online, Microsoft Teams i SharePoint, a nadużycie aplikacji Teams potwierdzono w jednej dzierżawie.